Website-Sicherheit für Schweizer KMU: So schützt du deine Website 2026 vor Hackern

Deine Website ist ein Ziel. Auch wenn du das nicht glaubst

"Wer will schon meine Website hacken? Ich bin doch nur ein kleiner Betrieb aus Schaffhausen."

Genau dieser Satz ist das Problem. Denn Hacker suchen sich ihre Ziele nicht aus. Ihre Bots scannen automatisiert Millionen von Websites pro Tag. Nach veralteten WordPress-Versionen. Nach Plugins mit bekannten Lücken. Nach Admin-Logins mit dem Passwort "Sommer2024!".

Deine Website ist für diese Bots keine Firmenwebsite. Sie ist eine IP-Adresse mit offenen Türen. Ob dahinter eine Schreinerei aus dem Klettgau steckt oder eine Bank aus Zürich, ist dem Skript egal.

Das Bundesamt für Cybersicherheit (BACS) registriert Jahr für Jahr mehr Meldungen aus der Schweiz. Ein grosser Teil davon betrifft KMU. Nicht weil KMU besonders wertvoll wären. Sondern weil sie besonders einfach sind.

Was ein gehackter Auftritt dich wirklich kostet

Reden wir über Geld. Denn "Sicherheit" klingt abstrakt, bis es dich trifft.

Der direkte Schaden

Eine gehackte Website wieder sauber zu kriegen, kostet schnell 2'000 bis 10'000 Franken. Je nachdem, wie tief sich die Angreifer eingenistet haben. Backups prüfen, Malware entfernen, Lücken schliessen, alles neu aufsetzen. Das macht niemand in einer Stunde.

Bei Ransomware wird es teurer. Da reden wir von Betriebsunterbrüchen über Tage oder Wochen. Für ein KMU mit 10 Mitarbeitenden ist das schnell ein fünfstelliger Schaden.

Der Schaden, den du nicht sofort siehst

Google merkt, wenn deine Website Malware verteilt. Dann erscheint bei deinen Besuchern eine rote Warnseite: "Diese Website ist möglicherweise gehackt." Dein Ranking stürzt ab. Und es dauert Wochen bis Monate, bis du wieder da bist, wo du warst.

Dazu kommt: Wenn über deine Website Kundendaten abfliessen, greift das revidierte Datenschutzgesetz. Meldepflicht beim EDÖB, im schlimmsten Fall Bussen. Und die musst du als verantwortliche Person tragen, nicht deine Firma.

Und dann ist da noch dein Ruf. Stell dir vor, deine Kunden erhalten Spam-Mails von deiner Domain. Oder landen auf deiner Website und sehen Casino-Werbung auf Russisch. Dieses Vertrauen baust du nicht mit einem Newsletter wieder auf.

Warum gerade WordPress-Seiten so oft erwischt werden

Rund 40 Prozent aller Websites weltweit laufen auf WordPress. Das macht WordPress nicht unsicher. Aber es macht WordPress zum lohnendsten Ziel für automatisierte Angriffe.

Der Punkt ist: WordPress selbst wird selten gehackt. Gehackt werden fast immer die Plugins und Themes drumherum. Die typische KMU-Website hat 25 Plugins installiert, davon werden 8 nicht mehr gebraucht und 5 seit zwei Jahren nicht aktualisiert. Jedes davon ist eine potenzielle Tür.

Das Muster ist immer gleich: Ein Sicherheitsforscher findet eine Lücke in einem Plugin. Der Entwickler veröffentlicht ein Update. Ab diesem Moment wissen auch die Angreifer von der Lücke. Und dann beginnt das Rennen: Wer ist schneller, dein Update oder ihr Bot?

Wenn deine Website "von der Agentur von damals" betreut wird, die sich seit dem Launch 2021 nicht mehr gemeldet hat, dann kennst du die Antwort.

Die 7 Massnahmen, die den Grossteil aller Angriffe stoppen

Die gute Nachricht: Du brauchst kein Security-Team wie eine Grossbank. Die allermeisten Angriffe auf KMU-Websites sind automatisiert und dumm. Sie funktionieren nur, weil die Grundlagen fehlen. Hier sind sie.

1. Updates. Sofort, nicht irgendwann

WordPress-Core, Themes, Plugins: alles aktuell halten. Nicht einmal im Quartal, sondern laufend. Kritische Sicherheitsupdates werden heute innert Stunden nach Veröffentlichung ausgenutzt.

Wenn du das nicht selbst machen willst (verständlich), dann brauchst du jemanden, der es verbindlich für dich tut. Mit einem Wartungsvertrag, nicht mit einem "melde dich einfach, wenn was ist".

2. Backups, die du auch getestet hast

Ein Backup, das du nie zurückgespielt hast, ist kein Backup. Es ist eine Hoffnung.

Die Faustregel: tägliche automatische Backups, gespeichert ausserhalb deines Webservers, mindestens 30 Tage aufbewahrt. Warum 30 Tage? Weil viele Hacks erst nach Wochen entdeckt werden. Wenn dein einziges Backup von gestern ist, sicherst du die Malware gleich mit.

Und einmal pro Quartal: Restore testen. Ernsthaft. Das ist eine Stunde Aufwand und der Unterschied zwischen einem schlechten Nachmittag und einer Katastrophe.

3. Logins, die nicht in fünf Minuten fallen

Drei Dinge, heute noch umsetzbar:

• Kein Benutzername "admin". Der wird bei jedem Brute-Force-Angriff als Erstes probiert.
• Ein Passwort aus dem Passwort-Manager, nicht aus dem Kopf. 20 Zeichen, zufällig generiert.
• Zwei-Faktor-Authentifizierung für alle Admin-Konten. Ohne Ausnahme. Auch für den Praktikanten, der "nur mal kurz einen Blogpost" einstellt.

2FA allein blockiert praktisch alle gestohlenen Passwörter. Es ist die günstigste Sicherheitsmassnahme, die es gibt: Sie kostet nichts ausser fünf Sekunden beim Login.

4. HTTPS richtig, nicht nur halb

Ja, deine Website hat vermutlich ein SSL-Zertifikat. Aber läuft wirklich alles über HTTPS? Oder gibt es noch alte Seiten, Bilder oder Formulare, die über HTTP laden? Mixed Content ist nicht nur unschön, es ist ein Einfallstor und ein Ranking-Nachteil.

Prüf auch, ob deine Website HTTP-Anfragen sauber auf HTTPS umleitet. Das ist eine Zeile Konfiguration und trotzdem bei erstaunlich vielen Schweizer KMU-Websites nicht sauber gelöst.

5. Eine Web Application Firewall davor

Eine WAF filtert bösartige Anfragen, bevor sie deine Website überhaupt erreichen. SQL-Injections, Brute-Force-Versuche, bekannte Exploit-Muster: alles wird abgefangen, bevor dein Server es sieht.

Dienste wie Cloudflare bieten das in der Basisversion sogar gratis an. Für die meisten KMU reicht das völlig. Der Aufwand für die Einrichtung: ein Nachmittag. Der Effekt: Ein grosser Teil des Angriffs-Traffics kommt gar nicht mehr bei dir an.

6. Ausmisten statt anhäufen

Jedes Plugin ist Code von Fremden auf deinem Server. Jedes deaktivierte, aber nicht gelöschte Plugin ist Code von Fremden, der nicht mal mehr Updates bekommt.

Die Regel ist simpel: Was du nicht brauchst, fliegt raus. Nicht deaktivieren. Löschen. Gleiches gilt für alte Themes, verwaiste Admin-Konten von Ex-Mitarbeitenden und die Staging-Umgebung von 2023, die noch öffentlich erreichbar ist.

Weniger Angriffsfläche schlägt jedes Sicherheits-Plugin.

7. Monitoring: Merken, bevor es die Kunden merken

Die meisten KMU erfahren von ihrem Hack durch einen Kunden. Oder durch Google. Das ist der schlechteste Zeitpunkt.

Ein einfaches Monitoring prüft: Ist die Website erreichbar? Wurden Dateien verändert? Tauchen neue Admin-Konten auf? Steht die Website auf einer Blacklist? Das lässt sich automatisieren und kostet fast nichts. Aber es verwandelt "drei Wochen gehackt und nichts gemerkt" in "nach zwei Stunden reagiert".

Was 2026 anders ist als noch vor zwei Jahren

Falls du denkst, das Thema sei kalter Kaffee: Die Angreiferseite hat aufgerüstet.

KI-Tools schreiben heute Phishing-Mails in fehlerfreiem Schweizer Kontext. "Sehr geehrte Damen und Herren, im Anhang die Offerte gemäss Telefonat" klingt heute echt, weil es von einem Sprachmodell kommt und nicht mehr aus einem Übersetzungstool.

Automatisierte Angriffe finden und nutzen Lücken schneller. Was früher Tage dauerte, passiert heute in Stunden. Das Zeitfenster zwischen "Update verfügbar" und "Lücke wird aktiv ausgenutzt" schrumpft laufend.

Und: Angreifer zielen vermehrt auf die Lieferkette. Nicht deine Website wird direkt angegriffen, sondern das Plugin, das du nutzt, oder der Hoster, bei dem du bist. Umso wichtiger, dass du weisst, was auf deinem Server läuft und wer Zugriff hat.

Das heisst nicht, dass du chancenlos bist. Es heisst nur: "Einmal eingerichtet und dann vergessen" funktioniert nicht mehr. Website-Sicherheit ist 2026 ein laufender Prozess, kein Projekt.

Der Realitäts-Check: Wie sicher ist deine Website?

Beantworte diese fünf Fragen ehrlich:

1. Weisst du, wann deine Website zuletzt aktualisiert wurde?
2. Hast du in den letzten drei Monaten ein Backup zurückgespielt, um zu testen, ob es funktioniert?
3. Nutzen alle Admin-Konten Zwei-Faktor-Authentifizierung?
4. Würdest du es innert 24 Stunden merken, wenn deine Website gehackt wird?
5. Weisst du, wer im Notfall zuständig ist und wie schnell diese Person reagiert?

Fünfmal Ja? Stark. Du gehörst zur Minderheit, und zwar zur guten.

Zwei- oder dreimal Nein? Dann bist du genau das Ziel, von dem dieser Artikel handelt. Nicht weil deine Website schlecht wäre. Sondern weil niemand hinschaut.

Wir sehen das jede Woche

Bei Webtree übernehmen wir regelmässig Websites, die vorher "irgendwie mitliefen". Das Muster wiederholt sich: 20 bis 30 Plugins, die Hälfte veraltet. Kein externes Backup. Admin-Login mit dem Firmennamen. Kein Monitoring.

In mehreren Fällen fanden wir beim Übernahme-Check bereits aktive Malware, von der niemand etwas wusste. Spam-Versand über die Domain. Versteckte Weiterleitungen auf dubiose Shops. Die Betreiber hatten monatelang nichts gemerkt, aber ihre Google-Rankings waren längst im Keller.

Das Aufräumen danach kostet jedes Mal ein Mehrfaches von dem, was die Vorsorge gekostet hätte. Das ist keine Verkaufsmasche, das ist einfach Mathematik: Ein Wartungsvertrag kostet pro Jahr weniger als ein einziger Hack-Vorfall.

Was du jetzt tun solltest

Wenn du eine Stunde Zeit hast: Aktiviere 2FA für alle Admin-Konten, lösche ungenutzte Plugins und prüf, wann dein letztes Backup gemacht wurde. Das allein hebt dich über den Durchschnitt.

Wenn du es richtig machen willst: Lass deine Website einmal gründlich durchchecken. Wir schauen uns bei Webtree deine Website an, zeigen dir schwarz auf weiss, wo die Lücken sind, und sagen dir ehrlich, was dringend ist und was warten kann. Ohne Fachchinesisch, ohne Panikmache.

Und wenn du das Thema danach nie mehr selbst anfassen willst: Mit unserem Website-Unterhalt kümmern wir uns laufend um Updates, Backups, Monitoring und Sicherheit. Du machst dein Geschäft, wir halten dir die Bots vom Hals.

Meld dich auf webtree.ch für einen kostenlosen Sicherheits-Check. Lieber eine halbe Stunde jetzt als drei Wochen Ausnahmezustand später.